Атакующие получили контроль над NPM-пакетами проекта DuckDB и опубликовали вредоносные выпуски

История с компрометацией 18 NPM-пакетов, в сумме насчитывающих более 2 миллиардов загрузок в неделю, получила продолжение. Выявлен аналогичный захват через фишинг учётных данных сопровождающего NPM-пакеты проекта DuckDB. Для пакетов DuckDB также были сформированы версии с вредоносным кодом, осуществляющим подмену реквизитов при проведении платежей через криптовалюты, но атака была сразу выявлена и зафиксированы лишь единичные загрузки вредоносных пакетов. При этом по предварительным данным пакеты с вредоносной вставкой, опубликованные в ходе вчера анонсированной атаки на 18 NPM-пакетов, успели загрузить более 2.5 миллионов раз.

Пакеты, скомпрометированные во второй фишинговой атаке:

ПакетПиковое число загрузок в неделюЧисло зависимостейВерсия с вредоносным кодом duckdb242 тысячи611.3.3 @duckdb/duckdb-wasm170 тысяч431.3.3 @duckdb/node-api81 тысяча336.2.2 @duckdb/node-bindings82 тысячи11.29.2 @coveops/abi55102.0.1

Источник: opennet.ru